[서울=뉴시스]박은비 기자 = 인공지능(AI) 기반 사이버 공격 타깃이 민간기업이나 국가기관에 국한되지 않고 교육기관으로 확장된 사례가 확인됐다. 악성코드 배포부터 도메인 관리자 계정 탈취까지 걸린 시간은 불과 3~4일 남짓이다.

카스퍼스키가 2일(현지 시간) 공개한 위협 분석 보고서에 따르면, 아프리카와 중남미 교육기관이 피해를 입은 사이버 공격에서 공격자들이 오픈소스 침투시험 프레임워크 '사이버스트라이크AI'를 악용한 것으로 파악됐다.

카스퍼스키가 지난 9월부터 지난달까지 발생한 공격을 분석한 결과, 공격자는 AI를 이용해 네트워크 내부 정찰, 계정 탈취, 시스템간 이동과 데이터 수집을 수행한 것으로 조사됐다. 일부 사례에서는 도메인 관리자 계정까지 탈취했다.

카스퍼스키가 재구성한 사례를 살펴보면 공격자들은 처음에 손상된 SQL 서버에 접근해 정보를 수집하고 도구를 준비한 정황이 포착됐다. 2주간의 공백 이후 이들은 사이버스트라이크AI 악성코드를 배포했다.

악성코드 배포부터 도메인 관리자 계정 탈취까지 걸린 시간은 3~4일 가량이다. 컴퓨터간 이동, 자격 증명 수집 및 데이터베이스 내보내기 등 최종 단계는 1시간도 채 걸리지 않았다.

해당 AI는 해킹당한 컴퓨터가 아닌 공격자 서버에서 작동했다. 이 악성 프로그램은 AI 서비스에 직접 호출하지 않고 일반적인 원격 제어 도구처럼 작동한 것으로 파악됐다.

카스퍼스키는 공격자의 스크립트에서 중국어 주석을 발견했지만, 이런 단서만으로는 공격자 신원이나 위치를 파악할 수 없다고 보고 있다. 카스퍼스키는 해당 활동을 알려진 위협 그룹과 연관시키거나 동일한 운영자가 확인된 모든 인프라를 제어했는지 여부를 확인할 수 없었다고 전했다.

이번 사례는 AI 기반 공격이 특정 대기업이나 국가기관만을 겨냥하는 위협이 아니라는 사실을 보여준다. 교육기관은 보안 예산과 전문 인력이 상대적으로 부족한 편이지만, 학생 및 교직원 개인정보, 학사 및 행정 데이터, 연구자료와 지식재산 등 보유 데이터는 상당히 가치가 높은 편이다.

특히 보안 대응 중심이 악성코드 탐지에서 행동 분석으로 이동해야 한다는 게 카스퍼스키 결론이다. AI가 명령어를 생성하면 공격에 사용되는 코드나 명령어가 매번 달라질 수 있다. 이렇게 되면 기존의 특정 악성코드 패턴이나 파일 해시값만으로는 탐지가 어려워진다.

카스퍼스키는 이런 공격으로부터 조직을 보호하기 위해 "엔드포인트 동작과 네트워크 전반의 활동을 모니터링할 필요가 있다"며 "위협 인텔리전스를 활용해 조사를 진행하고, 근무 시간 외에도 지속적인 모니터링을 유지해야 한다"고 조언했다.


◎공감언론 뉴시스 silverline@newsis.com